Faille PHP2Shell : protégez votre site WordPress ou votre boutique PrestaShop
Vous fermez votre magasin à clé chaque soir. Et votre site internet, qui reste ouvert 24 h sur 24 ?
Une faille de sécurité PHP vient de rappeler à tous les chefs d’entreprise qu’un site non surveillé est une porte ouverte.
Artisan, commerçant, dirigeant de petite entreprise : votre site vitrine ou votre boutique en ligne est votre deuxième vitrine, parfois la première. Nous vous aidons à le garder en sécurité grâce à un audit, des mises à jour maîtrisées et des sauvegardes fiables.
Qu’est-ce que la faille PHP2Shell ?
Fin octobre 2026, deux vulnérabilités critiques ont été corrigées dans PHP, le langage sur lequel repose la grande majorité des sites web. Elles portent les références CVE-2026-109618 et CVE-2026-109619, et le surnom de PHP2Shell. Leur gravité est notée 9,2 sur 10.
En termes simples : dans certaines conditions, un pirate peut faire exécuter ses propres commandes par le serveur qui héberge votre site, sans avoir besoin d’un mot de passe. Il peut alors installer ce qu’on appelle un « shell », une porte dérobée qui lui donne un accès durable à vos fichiers.
Pourquoi les petites entreprises sont concernées
Les attaques de ce type ne ciblent pas une entreprise en particulier. Des programmes automatiques parcourent Internet et testent des milliers de sites par heure. Ils cherchent simplement ceux qui n’ont pas été mis à jour. Un petit site mal suivi est une cible aussi intéressante qu’un grand : il est souvent moins bien protégé.
Une fois le correctif publié, les détails techniques deviennent accessibles à tous, y compris aux pirates. C’est pourquoi la période qui suit une alerte est la plus délicate.
Pourquoi les petites entreprises sont concernées
Les attaques de ce type ne ciblent pas une entreprise en particulier. Des programmes automatiques parcourent Internet et testent des milliers de sites par heure. Ils cherchent simplement ceux qui n’ont pas été mis à jour. Un petit site mal suivi est une cible aussi intéressante qu’un grand : il est souvent moins bien protégé.
Une fois le correctif publié, les détails techniques deviennent accessibles à tous, y compris aux pirates. C’est pourquoi la période qui suit une alerte est la plus délicate.
Des failles qui se répéteront
PHP2Shell n’est ni la première ni la dernière alerte. Le délai entre l’annonce d’une faille et ses premières exploitations se compte désormais en heures ou en jours, pas en semaines. Un site sans suivi régulier finit par prendre du retard, et ce retard se paie un jour.
Les conséquences d’un site piraté
Les dégâts dépassent largement la technique :
- Perte de ventes : boutique en ligne bloquée, paiements impossibles, surtout en période de forte activité.
- Atteinte à l’image : pages remplacées, publicités douteuses, redirections vers des sites frauduleux.
- Données clients exposées : adresses, commandes, comptes, avec des obligations légales liées au RGPD.
- Chute du référencement : un site signalé comme dangereux par Google voit son trafic s’effondrer.
- Frais de remise en état : nettoyage, restauration, parfois reconstruction, toujours plus coûteux qu’une prévention.
Pourquoi votre site peut être vulnérable sans que vous le sachiez
Un site vulnérable ne présente aucun symptôme visible. Il s’affiche, il vend, il répond. C’est ce qui rend le problème difficile à détecter pour un non-spécialiste.
Plusieurs situations sont fréquentes :
- WordPress, PrestaShop et les plugins sont à jour, mais la version de PHP sur l’hébergement ne l’est pas.
- L’hébergeur a annoncé une mise à jour, sans que quiconque ait vérifié qu’elle est bien appliquée à votre site.
- D’anciennes pages, un sous-domaine, un espace client ou une version de test traînent en ligne, sans surveillance.
- Un plugin ou un module abandonné par son éditeur n’est plus corrigé depuis longtemps.
Notre audit de sécurité WordPress et PrestaShop
On ne protège bien que ce que l’on connaît. Notre audit établit l’état réel de votre site, sans jargon inutile. Nous examinons :
- la version de PHP réellement utilisée par votre site ;
- la version de votre CMS (WordPress ou PrestaShop), de vos thèmes, plugins et modules ;
- la présence de fichiers suspects ou de code malveillant, signes d’un piratage déjà réalisé ;
- les comptes utilisateurs, les accès administrateurs et les mots de passe fragiles ;
- les configurations dangereuses et les éléments oubliés (anciens sites, tests, sous-domaines) ;
- la qualité et la fréquence de vos sauvegardes.
Vous recevez un compte rendu écrit et compréhensible, classé par priorité : ce qu’il faut traiter tout de suite, ce qui peut attendre, et ce qui va bien.
Mises à jour PHP, CMS, plugins et modules : une obligation
Mettre à jour PHP en priorité
Le correctif de PHP2Shell est disponible dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions 8.1 et antérieures ne sont plus maintenues officiellement : un site qui tourne dessus reste exposé, sauf correctif spécifique de l’hébergeur. Sur un hébergement mutualisé, c’est le prestataire qui gère PHP, mais il faut s’assurer que la mise à jour est bien effective sur votre site.
Puis mettre à jour votre site, vos plugins et vos modules
Chaque extension non mise à jour est une faille potentielle. Les mises à jour sont aussi une protection contre la prochaine alerte. Mais elles ne se font pas à la légère : une mise à jour mal préparée peut casser l’affichage, le panier ou le paiement.
Notre méthode, pour ne rien casser
- Sauvegarde complète avant toute intervention.
- Mise à jour de PHP, puis du CMS, des plugins et des modules, dans le bon ordre.
- Tests sur les fonctions essentielles : navigation, formulaires, commande, paiement.
- Contrôle final et compte rendu.
Sauvegardes : votre assurance contre le pire
Si votre site est compromis, le moyen le plus rapide de repartir est de restaurer une copie saine. Encore faut-il qu’elle existe. Une bonne sauvegarde est :
- automatique, pour ne dépendre d’aucun oubli ;
- récente, idéalement quotidienne pour une boutique en ligne ;
- stockée ailleurs que sur l’hébergement du site ;
- testée, car une copie jamais restaurée peut se révéler inutilisable.
Nous mettons en place ce dispositif et vérifions qu’il fonctionne, pour que vous puissiez redémarrer en quelques heures plutôt qu’en quelques semaines.
Questions fréquentes
Mon site est-il concerné par PHP2Shell ?
Si votre site fonctionne avec PHP, ce qui est le cas de WordPress, WooCommerce et PrestaShop, il peut l’être. Cela dépend de la version utilisée sur votre hébergement. Seul un contrôle permet de le savoir.
Mettre à jour WordPress ou PrestaShop suffit-il ?
Non. La faille se situe dans PHP, pas dans votre CMS. Il faut mettre à jour les deux niveaux.
Mon site fonctionne normalement, est-il en sécurité ?
Pas forcément. Un site vulnérable ne montre aucun signe extérieur. Un audit est le seul moyen de le vérifier.
Combien de temps dure un audit ?
Cela dépend de la taille du site. Pour un site vitrine ou une petite boutique, comptez généralement quelques jours. Nous vous donnons un délai précis après un premier échange.
Que faire si mon site est déjà piraté ?
Contactez-nous rapidement. Nous évaluons les dégâts, nettoyons ou restaurons le site, puis le sécurisons pour éviter une nouvelle intrusion.
Contactez-nous dès aujourd’hui
Un site piraté coûte du temps, de l’argent et la confiance de vos clients. Une vérification coûte bien moins cher. Nous regardons votre site et nous vous disons honnêtement où vous en êtes : corrigé, exposé, ou déjà touché.